依存関係管理 とは？

自分のソフトウェアが使っている外部のライブラリやパッケージを管理することだよ。たとえばWebアプリを作るとき、自分でゼロから全部作るのではなく、便利なライブラリを組み合わせて使うよね。その「どのライブラリのどのバージョンを使っているか」を管理するのが依存関係管理だよ。

「自分のパソコンでは動くのにサーバーでは動かない」という問題が起きるよ。ライブラリのバージョンが微妙に違うだけでエラーになることがあるんだ。あとセキュリティの脆弱性が見つかったライブラリを使い続けてしまうリスクもあるよ。

package-lock.json や yarn.lock のようなファイルのことだよ。これは「このプロジェクトではライブラリAのバージョン1.2.3、ライブラリBのバージョン4.5.6を使う」と正確に固定するファイルなんだ。チーム全員がまったく同じバージョンの組み合わせで開発できるようになるよ。

手動で一つずつ更新することもできるけど、最近はDependabotやRenovateのような自動更新ツールが主流だよ。脆弱性が見つかったライブラリを検出して、自動でプルリクエストを作ってくれるんだ。

あるよ。有名な事例として、2016年にnpmのleft-padという11行のライブラリが削除されて、React含む大量のプロジェクトがビルドできなくなった事件があるんだ。依存の依存、さらにその依存という連鎖を「推移的依存」と呼ぶけど、これが何百にもなると把握しきれなくなるよ。SBOMで依存関係を可視化する動きも広がっているね。